לפני מספר חודשים רעשה המדינה, לאחר שסרטון המתעד את הזמרת עדן בן זקן בעירום, בעת שמדדה בגד ים, דלף לרשת. בעקבות חקירה שנוהלה בעניין, התברר כי האדם שהדליף את הסרטון חדר למחשב ולמצלמות האבטחה בחנות בגדי הים, וכך השיג את הסרטון.
הדלפת הסרטון לאחר החדירה שבוצעה למחשב היא רק דוגמה אחת לנזק שפשעי סייבר עלולים לגרום. ריגול תעשייתי, איסוף מידע על קורבנות, הונאה באמצעות התחזות לגולשים תמימים וביצוע עבירות נוספות כגון גניבת זהויות ברשת, גניבת פרטי אשראי או פרטים אישיים אחרים, הינם נזקים נוספים אשר עלולים להיגרם מעבירות אלה, המתבצעות בתחכום רב על ידי מומחי מחשבים במחשכים ותחת מעטה כבד של חשאיות.
במאמר זה נציג את עבירות המחשבים המרכזיות המופיעות בספר החוקים בישראל, נדגים כיצד הן מבוצעות על ידי הקראקרים (בעברית: "פרצנים") בניגוד להאקרים (בעברית: "פצחנים") ונבחן מהן הסכנות אורבות מעבירות אלה.
תחילה נבקש לתקן טעות נפוצה ולאבחן בין "האקר" ל"קראקר" - בשני המקרים מדובר באדם בעל ידע נרחב ומומחיות בתחום המחשוב, אלא שבשונה מה"האקר" שפועל ברשות הבעלים של המחשב או השרת - הקראקר חודר למערכות באופן שאיננו מורשה ופעילותו מהווה עבירה לפי חוק המחשבים.
סעיף 2(1) לחוק המחשבים עוסק בשיבוש הפעילות התקינה של מחשב או הפרעה לשימוש בו. עברתם ליד מחשב בבית קפה וניתקתם את המחשב מהחשמל? מדובר בעבירה חמורה שעלולה לגרום לנזקים קשים
דוגמה 1: ניתוק מחשב מהחשמל של אדם אחר. העבירה: שיבוש או הפרעה למחשב // העונש: 3 שנות מאסר
סעיף 2(1) לחוק המחשבים עוסק בשיבוש הפעילות התקינה של מחשב או הפרעה לשימוש בו. עברתם ליד מחשב בבית קפה וניתקתם את המחשב מהחשמל? כיביתם את הראוטר ושיתקתם את האינטרנט? גם אם הדבר נשמע מינורי - מדובר בעבירה חמורה שעלולה לגרום לנזקים קשים, אובדן עסקאות אשראי ופגיעה כלכלית. חשבו מה עלול להתרחש, אם תנתקו מהחשמל מחשב בבית חולים! ציוד רפואי עלול להיות משותק, טיפולים חיוניים לא יינתנו וחולים אף עלולים למות!
מתקפת סייבר על אתר אינטרנט מהווה אף היא עבירה לפי סעיף 2(1) לחוק המחשבים
דוגמה 2: מתקפת סייבר על אתר כלשהו. העבירה: שיבוש או הפרעה למחשב // העונש: 3 שנות מאסר
מתקפת סייבר על אתר אינטרנט מהווה אף היא עבירה לפי סעיף 2(1) לחוק המחשבים. במתקפת DOS) Denial of Service attack; התקפת מניעת שירות) יוצרים האקרים עומס חריג על המשאבים של אתר מסוים כדי לשבש את פעילותו התקינה.
מתקפה קשה יותר מכונה DDOS) ,Distributed Denial of Service attack; התקפת מניעת שירות מבוזרת, דהיינו בתפוצה רחבה) ונעשית בדרך כלל על ידי ארגוני קראקרים כגון "אנונימוס" וכיו"ב. במתקפה כזו, אוספים קראקרים אלפי מחשבים "זומבים" תמימים, שמושתל בהם וירוס רדום.
ב"יום פקודה" מפעיל הקראקר את הוירוס הרדום ובאמצעותו מבצע תקיפה מאסיבית מכל אחד מהמחשבים הנגועים כאשר כל אחד מהמחשבים יוצר עומס על אתר/שרת המטרה. המתקפה עלולה להוביל לנזקים חמורים, לגרום לקריסת אתרי בנקים, אתרי ממשל ועוד.
אם הסטודנט שיושב לידכם יוצא מהכיתה,למשל, ובזמן שהוא מחוץ לכיתה, אתם מוחקים לו קבצים מהמחשב או משנים את סיסמת הכניסה שלו, זוהי עבירה - שעונשה עד 3 שנות מאסר
דוגמה 3: שינוי סיסמה במחשב של אדם אחר. העבירה: מחיקה או שינוי של חומר מחשב // העונש: 3 שנות מאסר
סעיף 2(2) לחוק המחשבים מתייחס למי שמוחק חומר מחשב, גורם לשינוי בו או משבש אותו בכל דרך אחרת. כך, לדוגמה: אם הסטודנט שיושב לידכם יוצא מהכיתה - ובזמן שהוא מחוץ לכיתה, אתם מוחקים לו קבצים מהמחשב או משנים את סיסמת הכניסה שלו, זוהי עבירה - שעונשה עד 3 שנות מאסר. לאותו אדם ייגרם נזק קשה: הוא יצטרך לפנות לטכנאי שישקם את המחשב ויאפס את הסיסמה, דבר שלעיתים יהיה כרוך באובדן של מידע כי לא תמיד ניתן יהיה לגבות את המידע השמור על המחשב.
"פיגוע פייסבוק" עשוי להתרחש כאשר אדם משנה לאדם אחר את פרטי הפרופיל שלו ושולח הודעות או מעלה פוסטים בשמו. סיטואציה כזו מהווה עבירה של שינוי חומר מחשב
דוגמה 4: "פיגוע פייסבוק". העבירה: מחיקה או שינוי של חומר מחשב // העונש: 3 שנות מאסר
"פיגוע פייסבוק" עשוי להתרחש כאשר אדם משנה לאדם אחר את פרטי הפרופיל שלו ושולח הודעות או מעלה פוסטים בשמו. סיטואציה כזו מהווה עבירה של שינוי חומר מחשב - ועלולה להיות הרסנית. חשבו על מצב שאדם אחר ישלח בשמכם הודעה לאקסית שלכם "יוצא מהארון" בשמכם או ישנה את הסיסמה שלכם בג'ימייל ולא יאפשר לכם לקרוא דואר אלקטרוני.
פישינג - מתקפה שמתרחשת כשאדם אחר בונה אתר מזויף (שנראה למשל בדיוק כמו פייסבוק) או שולח לינק שמזמין אתכם להיכנס לסרטון תמים לכאורה; ובדרך זו "דג" את הסיסמאות שלכם
דוגמה 5: מתקפת פישינג. העבירה: הנפקת פלט כוזב ממחשב // העונש: 5 שנות מאסר
סעיף 3 לחוק המחשבים נוגע לעשיית פעולה, שתוצאתה היא הצגת פלט כוזב או כתיבת תוכנה שתוצאת השימוש בה היא מידע כוזב. דוגמה לעבירה זו היא פישינג. מתקפה שמתרחשת כשאדם אחר בונה אתר מזויף (שנראה למשל בדיוק כמו פייסבוק) או שולח לינק שמזמין אתכם להיכנס לסרטון תמים לכאורה; ובדרך זו "דג" את הסיסמאות שלכם (או את פרטי חשבון הבנק).
במקרה שהתפרסם בתחילת השנה, הוגש כתב אישום כנגד בחור מהרשות הפלסטינית שייצר העתק מדויק של אתר הקניות הידוע "עלי אקספרס" ושלח מסרונים בתפוצה רחבה עם קישורית לאתרו, כדי שרוכשים תמימים יזינו פרטי האשראי, ואלה יועברו באופן מיידי לידיו של אותו בחור.
דוגמה אחרת להצגת פלט כוזב: Scare Ware. האם גם אתם מקבלים תוך כדי גלישה הודעות על כך שנדבקתם בווירוסים? מדובר בהודעות כוזבות, מפני שלא נדבקתם בווירוס, וכל מטרתן היא לגרום לכם להוריד את האנטי וירוס המפורסם בהודעה.
רוצים עוד דוגמה לפלט כוזב? סוס טרויאני. תוכנה זדונית שעלולה להתחבא מאחורי תוכנה לגיטימית (כמו המחשבון ב"חלונות"). כשתיכנסו לתוכנה הלכאורה לגיטימית, הסוס הטרויאני שמסתתר מאחוריה יפתח קישור/התחברות ויאפשר לקראקר להשתלט על מחשבכם. במקרה כזה המבצע יואשם גם בעבירה לפי סעיף 4 - חדירה לחומר מחשב שלא כדין.
סעיף 4 לחוק המחשבים מתייחס למי שחודר שלא כדין לחומר מחשב, באמצעות התקשרות מרחוק או פריצה
דוגמה 6: חדירה למחשב עם תוכנה זדונית. העבירה: חדירה לחומר מחשב שלא כדין // העונש: 3 שנות מאסר
סעיף 4 לחוק המחשבים מתייחס למי שחודר שלא כדין לחומר מחשב, באמצעות התקשרות מרחוק או פריצה. למשל: ניתן לבצע חדירה למחשב באמצעות סוס טרויאני (תוכנה זדונית שהזכרנו לעיל, המציגה פלט כוזב - עבירה נוספת ונפרדת).
נוסף על כך, קיימות תוכנות (CNC (Command & Control שלאחר הפעלת סוס טרויאני, מאפשרות לשלוח פקודות למחשב הנפרץ.
קיימות גם תוכנות מסוג Exploit, שיודעות לנצל חולשות במערכת ההפעלה ולפרוץ אליה. הפריצה הידועה ביותר מסוג זה שנחשפה לאחרונה נקראת Eternal Blue. באותו מקרה, תוכנה זדונית שנקראה כך עשתה שימוש בפרצה שנתגלתה בפרוטוקול תקשורת מסוים ב"חלונות" (למיטיבי לכת - פרוטוקול SMB) לצורך השתלטות על מחשבי משתמשים תמימים. פריצות אלה גרמו נזקים עצומים למחשבים ולשרתים.
במקרה של ה"אנלייזר", בית משפט השלום התייחס למיומנות הגבוהה ולקושי בגילוי עבירות מחשב
ה"אנלייזר" - רף ענישה חמור
דוג' מפורסמת לעבירה זו הינה המקרה של אהוד טננבאום - הלא הוא ה"אנלייזר" אשר פרץ בין היתר למחשבי הפנטגון, למחשבי סוכנויות החלל נאס"א והצי האמריקאי. כן פרץ טננבאום למחשב הכנסת, לאתר הנשיא, לאתר מדרשת שדה בוקר וניסה לחדור גם לרשת הצה"לית.
בית משפט השלום נתן דעתו למיומנות הגבוהה ולקושי בגילוי עבירות מחשב: "לאחר החדירה למחשב לא נותרים סימנים, אין רסיסי זכוכית או מנעולים מעוקמים, ובהעדר סימנים לפריצה גילוי עבירות כגון אלה מחייב מיומנות טכנית גבוהה ומוחות מתוחכמים לא פחות מאלה של מבצעי העבירה", וגזר עליו 6 חודשי עבודות שירות, ואילו בית משפט המחוזי החמיר בעונשו וגזר עליו 18 ח'ודשי מאסר, תוך שהוא קובע כי: " האינטנסיביות , הנועזות, חוסר המעצורים וריבוי העבירות חובקי העולם, על פני תקופה ארוכה, שנסתיימה רק כשנעצר בעקבות חקירת ה-F.B.I; הנזקים הישירים והעקיפים שגרם במעשיו, שקשה להעריך את היקפם; האינטרס הציבורי בקביעת נורמת ענישה ראויה, שיהיה בה מסר חד משמעי לציבור העבריינים בכוח, שהוא, ברובו, ציבור צעיר הרואה בעבירות המחשב אתגר ואיננו מפנים עדיין את החומרה שבביצוען; הצורך להרתיע גם בשל הפיתוי לבצע עבירות מחשב תוך גלישה באינטרנט, בשל תחושת החופש והאנונימיות לכאורה, והמציאות הוירטואלית כביכול, שמקנה הישיבה בבית מול המחשב, בנוחות ובניחותא; החשיבות ההולכת וגדלה בעולם המודרני של המחשב ומאגרי היידע שבו – ומכאן גם הנזקים העצומים, שאינם ניתנים להערכה ולכימות, בפריצה לתוכם – כל אלה מחייבים לדעתי הצבת רף ענישה חמור יותר."…
פריצות למחשב נעשות גם על ידי בני זוג כדי להתחקות אחר בן הזוג. המקרה המפורסם הינו המקרה של השופטת לשעבר אסנת אלון-לאופר
דוגמה 7: פריצה למחשב כדי לבצע עבירה אחרת כגון גניבת חומר אישי, לדוגמא: תמונות, סרטונים וחומר עסקי לצורך ריגול תעשייתי. העבירה: חדירה למחשב כדי לעבור עבירה אחרת // העונש: 5 שנות מאסר
זוכרים את הפריצה למצלמות בחנות שבה מדדה עדן בן זקן בגדי ים, שהזכרנו בתחילת המאמר? הפריצה, שכללה גם גניבת סרטון שתיעד את בן זקן, מהווה עבירה לפי סעיף 5 לחוק המחשבים שכולל חדירה למחשב כדי לעבור עבירה אחרת, שזו עבירה בפני עצמה וכן עבירות נוספות שאין מחוק המחשבים כגון פגיעה בפרטיות או גניבה. הפורץ יואשם בשתי העבירות גם יחד והעונשים שלהן יכולים להצטבר זה על זה. במקרה המדובר של עדן בן זקן הוגש כתב אישום כנגד ארנן מייסלס, בגין ריבוי עבירות של חדירה לחומר מחשב כדי לעבור עבירה אחרת, פגיעה בפרטיות ומעשה מגונה.
פריצות כאלה נעשות גם על ידי בני זוג כדי להתחקות אחר בן הזוג, המקרה המפורסם הינו המקרה של השופטת לשעבר אסנת אלון-לאופר תפ (ת"א) 40332/05 אשר חשדה שבעלה בוגד בה, והפעילה חוקר פרטי כדי שיעקוב אחריו, בין היתר באמצעות חדירה למכשירו הסלולרי. היא הורשעה על פי הודעתה הן בעבירה של חדירה לחומר מחשב, והן בפגיעה בפרטיות והטרדה באמצעות מתקן בזק.
בעניין פלוני תפ (ת"א) 19578-11-14, אשר עסק בין היתר בפריצה לחומר מחשב בכדי לבצע עבירת סחיטה, קבע ביהמ"ש: "שילובן של עבירות מחשב ופגיעה בפרטיות בעבירות הסחיטה מקנה להן ממד נוסף של חומרה. הוא הדין בעובדה שקדם לעבירות תכנון מחושב וקר רוח (ר' בהוראות סעיף 40ט(א)(1) לחוק העונשין), כמו גם ריבוי הקורבנות, המשליך על הנזק שהיה צפוי להיגרם מביצוע העבירות (ר' בהוראות סעיף 40ט(א)(3) לחוק העונשין)."
כל מי שכותב תוכנה שמבצעת את הפעולות הנ"ל (למשל: תוכנה המסוגלת לשבש פעילות של מחשב אחר, להציג פלט כוזב, לאפשר חדירה למחשב אחר וכו') - מסתכן בעונש של עד 3 שנות מאסר
דוגמה 8: כתיבת תוכנה זדונית והפצתה. העבירה: ביצוע פעולות אסורות בתוכנה // העונש: 3 שנות מאסר
עבירה נוספת, הקבועה בסעיף 6 בחוק המחשבים, נוגעת לביצוע פעולות אסורות בתוכנה. כל מי שכותב תוכנה שמבצעת את הפעולות שהזכרנו (למשל: תוכנה המסוגלת לשבש פעילות של מחשב אחר, להציג פלט כוזב, לאפשר חדירה למחשב אחר וכו') - מסתכן בעונש של עד 3 שנות מאסר. לעומת זאת, מי שכותב תוכנה במטרה שהיא תבצע פעולה כזאת מסתכן בעונש חמור של 5 שנות מאסר.
עבירות מעניינות אחרות קבועות בחוק זכויות יוצרים: פריצת תוכנה, שימוש בתוכנה פרוצה או עשיית עותק של תוכנה, כדי למכור אותה ועוד
דוגמאות נוספות לעבירות מחוץ לחוק המחשבים
עבירות דומות המערבות מחשבים נמצאות גם מחוץ לחוק המחשבים. לעניין זה, יש להזכיר למשל את חוק האזנות סתר, המתייחס לסיטואציה שבה אדם מתקין תוכנה על טלפון נייד של אדם אחר כדי להאזין לכל השיחות שלו ולחילופין משתמש בכלים מחשוביים כדי להאזין לתקשורת בין מחשבים – תקיפה זו נקראת האדם שבאמצע ובאנגלית The man in the middle. באמצעות טכנולוגיה זו, יכול התוקף לנטר את כל התקשורת שעוברת ממחשב אחד למחשב השני, בכך שכל התקשורת בין שני המחשבים עוברת דרך המחשב של התוקף. הנזק שיכול להיגרם מכך גבוה מאוד, שכן מלבד החדירה לפרטיות, יכול התוקף להשיג סיסמאות שונות, גישה לחשבונות ואף לשדר מידע כוזב לנתקף. גם העונש על עבירה זו חמור מאוד: עד 5 שנות מאסר.
עבירות מעניינות אחרות קבועות בחוק זכויות יוצרים: פריצת תוכנה, שימוש בתוכנה פרוצה או עשיית עותק של תוכנה, כדי למכור אותה - מהווים עבירה שעונשה עשוי לנוע בין 3 ל-5 שנות מאסר.
חוק אחר, שבמקרים רבים רלוונטי לשימוש שנעשה במחשבים, הוא חוק הגנת הפרטיות. במקרים שבהם נעשית פגיעה, שעלולה לבזות או להשפיל אדם במחשב (למשל: בעקבות פרסום תצלום או סרטון משפיל והפצתו) - עלול הדבר לעלות כדי פגיעה בפרטיות ולגרור עונש מאסר של עד שנה.
* המאמר נכתב בסיוע מומחה אבטחת המידע דניאל אוז
